基于OpenFlow虚拟机流量检测系统设计与实现.docVIP

基于OpenFlow虚拟机流量检测系统设计与实现 　　摘 要：云平台下的虚拟机在物理机内部交互流量，而不通过防火墙等安全组件。针对这类流量无法在网络边界被获取并检测的问题，分析了OpenFlow技术的原理，提出了一种基于OpenFlow技术将虚拟机流量重定向到入侵检测系统进行检测的方案。方案使用OpenFlow虚拟交换机和控制器替代传统交换机，然后基于OpenFlow技术控制流量转发过程，将其导向外部的安全组件进行处理，并构建了由虚拟交换机、控制单元、入侵检测和系统配置管理4个模块组成的流量检测系统。实验结果表明，系统能够在满足虚拟机网络正常使用的前提下，将待监管流量导向入侵检测系统进行处理，而且能够同时提供交换机级及虚拟机级两种粒度的流量重定向控制。通过对虚拟机引流的方式实现在传统场景中解决云计算环境下流量检测问题，同时能够基于OpenFlow轻松实现流量处理的扩展操作。 　　关键词：OpenFlow；虚拟机；流量重定向；流量检测；云计算 　　0 引言 　　在传统网络中，安全防护任务主要由网络边界的安全组件负责，如防火墙、入侵检测系统（Intrusion Detection System，IDS）等，这类防护设备通过对流量进行检测和过滤的手段来保障网络安全。然而由于云计算底层架构通过虚拟化技术实现，虚拟机（Virtual Machine，VM）间的通信过程在物理机的共享内存中完成[1]，流量并不经过网络边界的安全组件，因此如果攻击来自云内部，则传统的安全防护措施将完全失效。 　　针对上述问题，文献[2-3]采取监控虚拟机运行状态的方式来保障虚拟机系统的安全，通常的做法是从文件和进程的角度来实施监控。比如监视系统日志文件的异常，保护敏感的数据文件，拦截文件存取操作，禁止非法和高危险的系统调用，拦截操作系统事件并进行语义重构等。文献[4-5]则通过在虚拟机间执行严格的访问控制机制实现保障措施，如实现或改进BLP（BellLaPadula）模型，基于这类思想，目前也实现了许多典型的应用和模型，比如思科的网络准入控制（Network Admission Control， NAC）、可信计算组的可信网络连接（Trusted Network Connect， TNC）和微软的网络访问保护（Network Access Protection， NAP）等。以上这类基于主机的做法在一定程度上提高了虚拟机系统的安全性，但是在其他方面也存在一些不足：1）每台主机都肩负着自身的防护任务，从而增加了主机的负荷和运行成本；2）由于所有策略都是基于主机的，且缺乏信息交流和共享的机制，因此防护单元无法获得其他主机的防护信息和攻击形势，从而导致防护信息的局限性。 　　由于传统的安全防护手段已经发展得较为成熟，为了在云计算场景中使用传统的安全防护措施，本文提出了一种通过OpenFlow技术[6]进行流量重定向的方法，并据此构建了多模块的分布式流量检测系统。在系统中，OpenFlow虚拟交换机和控制器替代传统交换机协作完成数据包转发动作，并根据需求动态制定重定向规则，从而保证在可控的情形下将需要检测的流量重定向到安全设备进行处理。 　　1 OpenFlow的软件定义网络技术 　　随着互联网规模的不断扩大，各种新型网络应用层出不穷，因此对网络创新性的要求也在不断提高。然而现有的网络架构在诸多方面存在先天不足，作为网络核心的路由器和交换机设备无法在当前网络架构的基础上提供适应网络发展要求的扩展性，而且这些设备的处理逻辑烧录在硬件中，无法轻易修改，从而使得网络创新更加艰难。为了解决当前TCP/IP体系结构所面临的问题，许多国家和机构相继开展了新型互联网的研究和实验工作，如美国的GENI（Global Environment for Network Innovations）[7]和PlanetLab项目[8]、欧盟的未来互联网研究与实验项目（Future Internet Experimentand Research，FIRE）[9]、日本的CoreLab[10]等。目前，提供可编程接口的软件化路由方案得到了广泛的关注，其中软件定义网络（Software Defined Network， SDN）的新型网络架构引起了学术界和产业界的极大反响。与此同时，OpenFlow初步实现了SDN的设计思想，推动了SDN技术向前发展，并成为了应用最为广泛的SDN的一种实现方式。 　　OpenFlow的概念最早由斯坦福大学的McKeown等[6]提出，后成为GENI计划的子项目。OpenFlow的核心思想是将传统网络设备的转发动作进行分解，原来一步完成的动作现由OpenFlow虚拟交换机和控制器协作完成，从而将网络设备转发过程中的数据平面和控制平面分离以实现网络处理层次的扁平化[1